Verbundauthentifizierungsdienst

Der Citrix Verbundauthentifizierungsdienst (Federated Authentication Service, FAS) ist eine privilegierte Komponente für die Integration in Active Directory-Zertifikatdienste. Der Dienst stellt dynamisch Zertifikate für Benutzer aus, sodass diese sich bei einer Active Directory-Umgebung so anmelden können, als hätten sie eine Smartcard. Durch FAS kann in StoreFront eine größere Bandbreite an Authentifizierungsoptionen, darunter z. B. SAML-Assertionen (Security Assertion Markup Language), verwendet werden. SAML (Security Assertion Markup Language) wird häufig als Alternative für herkömmliche Windows-Benutzerkonten im Internet verwendet.

Das folgende Diagramm zeigt die Integration von FAS mit einer Zertifizierungsstelle zur Bereitstellung von Diensten für StoreFront und XenApp und XenDesktop Virtual Delivery Agents (VDAs).

Vertrauenswürdige StoreFront-Server kontaktieren den Verbundauthentifizierungsdienst (FAS), wenn Benutzer Zugriff auf die Citrix Umgebung anfordern. Der FAS stellt ein Ticket aus, mit dem eine einzelne XenApp- oder XenDesktop-Sitzung eine Authentifizierung mit einem Zertifikat für die Sitzung durchführen kann. Wenn ein VDA einen Benutzer authentifizieren muss, stellt er eine Verbindung mit dem FAS her und löst das Ticket aus. Nur der FAS hat Zugriff auf den privaten Schlüssel des Benutzerzertifikats. Der VDA sendet jeden erforderlichen Signier- und Entschlüsselungsvorgang zusammen mit dem Zertifikat an FAS.

Anforderungen

Der Verbundauthentifizierungsdienst wird unter Windows Server-Betriebssystemen (Windows Server 2008 R2 oder höher) unterstützt.

• Citrix empfiehlt die Installation des FAS auf einem Server, der keine anderen Citrix-Komponenten enthält.
• Der Windows-Server muss geschützt werden. Er hat Zugriff auf ein Registrierungsstellenzertifikat und den entsprechenden privaten Schlüssel. Der Server verwendet diese Zugriffe, um das Zertifikat für Domänenbenutzer auszustellen. Nach der Ausstellung hat der Server auch Zugriff auf die Benutzerzertifikate und privaten Schlüssel.
• Für das FAS-PowerShell SDK ist Windows PowerShell 64-Bit auf dem FAS-Server erforderlich.
• Für die Ausstellung von Benutzerzertifikaten ist eine Zertifizierungsstelle wie Microsoft Enterprise oder eine andere im Citrix Ready-Programm validierte Zertifizierungsstelle erforderlich.

• Stellen Sie für andere Zertifizierungsstellen als Microsoft Folgendes sicher:

  • Die Zertifizierungsstelle (ZS) ist im Active Directory als Registrierungsdienst registriert.
  • Das Zertifizierungsstellenzertifikat befindet sich im NTAuth-Store auf dem Domänencontroller. Weitere Informationen finden Sie unter Importieren von Zertifizierungsstellenzertifikaten von Drittanbietern in den Enterprise NTAuth-Speicher.

XenApp- bzw. XenDesktop-Site

• Die Delivery Controller müssen mindestens die Version 7.15 haben.
• Die VDAs müssen mindestens die Version 7.15 haben. Stellen Sie sicher, dass Sie die FAS-Gruppenrichtlinienkonfiguration auf die VDAs anwenden, bevor Sie den Maschinenkatalog erstellen. Weitere Informationen finden Sie unter Gruppenrichtlinie konfigurieren.
• Der StoreFront-Server muss mindestens die Version 3.12 haben (XenApp und XenDesktop 7.15 ISO unterstützt die StoreFront-Version 3.12).

Konsultieren Sie bei der Planung der Bereitstellung dieses Diensts den Abschnitt Sicherheitsüberlegungen.

Informationsquellen:

• Active Directory-Zertifikatdienste

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831740(v=ws.11)?redirectedfrom=MSDN

• Windows für die Zertifikatanmeldung konfigurieren

https://support.citrix.com/article/CTX206156

Reihenfolge der Schritte zur Installation und Einrichtung

1. Verbundauthentifizierungsdienst installieren
2. Plug-In für den Verbundauthentifizierungsdienst auf StoreFront-Servern konfigurieren
3. Gruppenrichtlinie konfigurieren
4. Verwenden Sie die Verwaltungskonsole des Verbundauthentifizierungsdiensts für folgende Aufgaben: (a) Bereitstellen der vorhandenen Vorlagen, (b) Einrichten von Zertifizierungsstellen und (c) Autorisieren des Verbundauthentifizierungsdiensts für die Verwendung der Zertifizierungsstelle.
5. Konfigurieren von Benutzerregeln

Verbundauthentifizierungsdienst installieren

Aus Sicherheitsgründen empfiehlt Citrix die Installation des FAS auf einem dedizierten Server, ähnlich dem Domänencontroller oder der Zertifizierungsstelle. Der FAS kann über die Schaltfläche Verbundauthentifizierungsdienst auf dem Begrüßungsbildschirm der automatischen Ausführung beim Einfügen der ISO-Datei installiert werden.

Bei diesem Vorgang werden die folgenden Komponenten installiert:

• Verbundauthentifizierungsdienst
• PowerShell-Snap-In-Cmdlets zur Remotekonfiguration des Verbundauthentifizierungsdiensts
• Verwaltungskonsole des Verbundauthentifizierungsdiensts
• Gruppenrichtlinienvorlagen für den Verbundauthentifizierungsdienst (CitrixFederatedAuthenticationService.admx/adml)
• Zertifikatvorlagendateien zur einfachen Konfiguration einer Zertifizierungsstelle
• Leistungsindikatoren und Ereignisprotokolle

Plug-In für den Verbundauthentifizierungsdienst für einen StoreFront-Store aktivieren

Zum Aktivieren der FAS-Integration auf einem StoreFront-Store führen Sie die folgenden PowerShell-Cmdlets als Administrator aus. Wenn Sie mehrere Stores haben oder der Store einen anderen Namen hat, kann der Pfad von dem unten angegebenen abweichen.

```
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module

$StoreVirtualPath = "/Citrix/Store"

$store = Get-STFStoreService -VirtualPath $StoreVirtualPath

$auth = Get-STFAuthenticationService -StoreService $store

Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"

Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
<!--NeedCopy--> ```

Zum Beenden der Verwendung des FAS verwenden Sie folgendes PowerShell-Skript:

```
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module

$StoreVirtualPath = "/Citrix/Store"

$store = Get-STFStoreService -VirtualPath $StoreVirtualPath

$auth = Get-STFAuthenticationService -StoreService $store

Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"

Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
<!--NeedCopy--> ```

Delivery Controller konfigurieren

Zur Verwendung des FAS konfigurieren Sie den XenApp- bzw. XenDesktop-Delivery Controller für eine Vertrauensstellung mit den StoreFront-Servern, die mit ihm eine Verbindung herstellen können. Führen Sie hierfür das PowerShell-Cmdlet Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true aus.

Gruppenrichtlinie konfigurieren

Nach der Installation des FAS müssen Sie die vollständigen DNS-Adressen der FAS-Server in der Gruppenrichtlinie angeben und hierfür die während der Installation bereitgestellten Gruppenrichtlinienvorlagen verwenden.

Wichtig: Die Tickets anfordernden StoreFront-Server und die Tickets auslösenden VDAs müssen die gleiche DNS-Adresskonfiguration haben, einschließlich der automatischen Servernummerierung, die vom Gruppenrichtlinienobjekt angewendet wird.

Die folgenden Beispiele zeigen die Konfiguration einer Richtlinie auf Domänenebene für alle Maschinen. Der FAS funktioniert, wenn die Liste der DNS-Adressen für die StoreFront-Server, die VDAs und die Maschine mit der FAS-Verwaltungskonsole identisch sind. Das Gruppenrichtlinienobjekt fügt jedem Eintrag eine Indexnummer hinzu, die auch übereinstimmen muss, wenn mehr als ein Objekt verwendet wird.

Schritt 1: Suchen Sie auf dem Server, auf dem Sie den FAS installiert haben, die Datei C:\Programme\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx und dann den Ordner “de-DE”.

Schritt 2: Kopieren Sie die Dateien und den Ordner auf den Domänencontroller in den Pfad C:\Windows\PolicyDefinitions.

Schritt 3: Führen Sie Microsoft Management Console (Befehlszeile: “mmc.exe”) aus. Wählen Sie auf der Menüleiste Datei > Snap-In hinzufügen/entfernen. Fügen Sie den Gruppenrichtlinienverwaltungs-Editor hinzu.

Wenn Sie nach einem Gruppenrichtlinienobjekt gefragt werden, wählen Sie Durchsuchen und dann Standarddomänenrichtlinie. Sie können auch ein für Ihre Umgebung geeignetes Richtlinienobjekt mit einem Tool Ihrer Wahl erstellen und auswählen. Die Richtlinie muss auf alle Maschinen angewendet werden, auf denen relevante Citrix Software (VDAs, StoreFront-Server, Verwaltungstools) ausgeführt wird.

Schritt 4: Gehen Sie zur Richtlinie Verbundauthentifizierungsdienst (Federated Authentication Service) unter Configuration/Policies/Administrative Templates/Citrix Components/Authentication.

Schritt 5: Öffnen Sie die Verbundauthentifizierungsdienst-Richtlinie und wählen Sie Aktiviert. Dadurch wird die Schaltfläche Anzeigen wählbar, über die Sie die DNS-Adressen der FAS-Server konfigurieren.

Schritt 6: Geben Sie die DNS-Adressen der Server ein, auf denen der Verbundauthentifizierungsdienst gehostet wird.

Hinweis: Wenn Sie mehrere Adressen eingeben, muss die Reihenfolge der Liste, einschließlich der leeren oder nicht verwendeten Einträge, zwischen StoreFront-Servern und VDAs übereinstimmen.

Schritt 7: Klicken Sie auf OK, um den Gruppenrichtlinien-Assistenten zu beenden und die Änderungen der Gruppenrichtlinie anzuwenden. Sie müssen gegebenenfalls die Maschinen neu starten oder gpupdate /force an der Befehlszeile ausführen, damit die Änderungen wirksam werden.

Aktivieren der Unterstützung für sitzungsinterne Zertifikate und Trennen der Verbindung beim Sperren

Unterstützung für sitzungsinterne Zertifikate

Die Gruppenrichtlinienvorlage umfasst Unterstützung zur Konfiguration des Systems für sitzungsinterne Zertifikate. Damit werden Zertifikate nach der Anmeldung eines Benutzers in dessen persönlichem Zertifikatspeicher abgelegt. Ein Zertifikat kann dann beispielsweise von Internet Explorer verwendet werden, wenn innerhalb der VDA-Sitzung eine TLS-Authentifizierung bei Webservern erforderlich ist. Standardmäßig gestatten VDAs keinen Zugriff auf Zertifikate nach der Anmeldung.

Disconnect on lock

Wenn diese Richtlinie aktiviert ist, wird die Sitzung des Benutzers automatisch getrennt, wenn der Bildschirm gesperrt wird. Dieses Verhalten ähnelt der Richtlinie “Trennen beim Entfernen von Smartcards” und ist nützlich, wenn Benutzer keine Active Directory-Anmeldeinformationen haben.

Hinweis:

Die Richtlinie zum Trennen der Verbindung beim Sperren gilt für alle Sitzungen auf dem VDA.

Verwendung der FAS-Verwaltungskonsole

Die FAS-Verwaltungskonsole wird zusammen mit dem Verbundauthentifizierungsdienst installiert. Ein Symbol (Citrix Verbundauthentifizierungsdienst) wird in das Startmenü eingefügt.

Es wird automatisch versucht, die FAS-Server in der Umgebung mithilfe der Gruppenrichtlinie zu lokalisieren. Wenn der Vorgang fehlschlägt, konsultieren Sie den Abschnitt Gruppenrichtlinie konfigurieren.

Wenn Ihr Benutzerkonto nicht Mitglied der Administratorengruppe auf dem Computer mit dem Verbundauthentifizierungsdienst ist, werden Sie zur Eingabe von Anmeldeinformationen aufgefordert.

Wenn Sie die Verwaltungskonsole zum ersten Mal verwenden, werden Sie durch einen Prozess mit den drei folgenden Schritten geführt:

• Zertifikatvorlagen bereitstellen.
• Zertifizierungsstelle einrichten.
• Zertifizierungsstelle für den Verbundauthentifizierungsdienst autorisieren.

Sie können die Konfigurationstools des Betriebssystems verwenden, um einige der Schritte manuell auszuführen.

Zertifikatvorlagen bereitstellen

Zur Vermeidung von Interoperabilitätsproblemen mit anderer Software bietet Citrix Verbundauthentifizierungsdienst drei eigene Zertifikatvorlagen.

• Citrix_RegistrationAuthority_ManualAuthorization
• Citrix_RegistrationAuthority
• Citrix_SmartcardLogon

Diese Vorlagen müssen bei einem Active Directory registriert sein. Wenn sie von der Konsole nicht gefunden werden, können Sie sie mit dem Tool Deploy certificate templates installieren. Dieses Tool muss mit einem Konto ausgeführt werden, das Administratorberechtigung für die Gesamtstruktur des Unternehmens hat.

Die Konfiguration der Vorlagen ist in den XML-Dateien mit der Erweiterung “certificatetemplate”. Diese werden mit dem Verbundauthentifizierungsdienst in folgenden Pfad installiert:

C:\Programme\Citrix\Federated Authentication Service\CertificateTemplates

Wenn Sie keine Berechtigung zum Installieren dieser Vorlagendateien haben, geben Sie sie dem Active Directory-Administrator.

Zur manuellen Installation der Vorlagen können Sie die folgenden PowerShell-Befehle verwenden:

```
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")

 $CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService

 $CertEnrol.InitializeImport($template)

 $comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable

 $writabletemplate.Initialize($comtemplate)

 $writabletemplate.Commit(1, $NULL)
 <!--NeedCopy--> ```

Active Directory-Zertifikatdienste einrichten

Nachdem Sie die Citrix Zertifikatsvorlagen installiert haben, müssen Sie sie auf mindestens einem Zertifizierungsstellenserver veröffentlichen. Informationen zur Bereitstellung von Active Directory-Zertifikatdienste finden Sie in der Dokumentation von Microsoft.

Wenn die Vorlagen nicht auf mindestens einem Server veröffentlicht sind, bietet das Tool zum Einrichten der Zertifizierungsstelle an, sie zu veröffentlichen. Sie müssen das Tool als Benutzer mit Berechtigung zum Verwalten der Zertifizierungsstelle ausführen.

(Zertifikatvorlagen können auch mit der Microsoft-Zertifizierungsstellenkonsole veröffentlicht werden.)

Verbundauthentifizierungsdienst autorisieren

Der letzte Schritt bei der Einrichtung über die Konsole ist die Autorisierung des Verbundauthentifizierungsdiensts. Die Verwaltungskonsole verwendet die Vorlage Citrix_RegistrationAuthority_ManualAuthorization, um eine Zertifikatanforderung zu generieren. Anschließend wird die Anforderung an eine der Zertifizierungsstellen gesendet, die die Vorlage veröffentlicht.

Nachdem die Anforderung gesendet wurde, wird sie in der Liste Ausstehende Anforderungen der Microsoft-Zertifizierungsstellenkonsole angezeigt. Der Administrator der Zertifizierungsstelle muss die Anforderung ausstellen oder ablehnen, damit die Konfiguration des Verbundauthentifizierungsdiensts fortgesetzt werden kann. Die Autorisierungsanforderung wird als ausstehende Anforderung des FAS-Computerkontos angezeigt.

Klicken Sie mit der rechten Maustaste auf Alle Tasks und wählen Sie für die Zertifikatanforderung Ausstellen oder Verweigern. Die FAS-Verwaltungskonsole erkennt automatisch, wenn dieser Prozess abgeschlossen ist. Dieser Schritt kann einige Zeit dauern.

Konfigurieren von Benutzerregeln

Mit Benutzerregeln wird die Ausstellung von Zertifikaten für VDA-Anmeldungen und -Sitzungen nach Vorgabe von StoreFront autorisiert. Jede Regel spezifiziert Folgendes:

• StoreFront-Server, denen das Anfordern von Zertifikaten vertraut wird.
• Gruppe von Benutzern, für die Sie die Zertifikate anfordern können.
• Gruppe von VDA-Maschinen, die die Zertifikate verwenden dürfen.

Der Administrator muss die Standardregel definieren, um die Einrichtung des Verbundauthentifizierungsdienstes abzuschließen. Um die Standardregel zu definieren, wechseln Sie zur Registerkarte User Rules der FAS-Verwaltungskonsole, wählen Sie eine Zertifizierungsstelle aus, in der die Vorlage Citrix_SmartcardLogon veröffentlicht wird, und bearbeiten Sie die Liste der StoreFront-Server. Die Liste der VDAs enthält standardmäßig die Domänencomputer und die Liste der Benutzer die Domänenbenutzer. Die Listen können geändert werden, wenn sie nicht geeignet sind.

Felder:

Certificate Authority und Certificate Template: Die Zertifizierungsstelle und Zertifikatvorlage, die zum Ausstellen von Benutzerzertifikaten verwendet wird. Die Vorlage muss “Citrix_SmartcardLogon” oder eine geänderte Kopie dieser Vorlage für eine der Zertifizierungsstellen sein, in der die Vorlage veröffentlicht ist.

Für Failover und Lastausgleich können mehrere Zertifizierungsstellen mit PowerShell-Befehlen hinzugefügt werden. Erweiterte Optionen für die Zertifikaterstellung können über die Befehlszeile und die Konfigurationsdateien festgelegt werden. Weitere Informationen finden Sie in den Abschnitten PowerShell und Hardwaresicherheitsmodule.

In-Session Certificates: Das Kontrollkästchen Available after logon steuert, ob ein Zertifikat auch als sitzungsinternes Zertifikat verwendet werden kann. Wenn das Kontrollkästchen nicht aktiviert ist, wird das Zertifikat nur für Anmeldungen oder Wiederverbindungen verwendet und der Benutzer hat nach der Authentifizierung keinen Zugriff auf das Zertifikat.

List of StoreFront servers that can use this rule: Liste der vertrauenswürdigen StoreFront-Servermaschinen, die Zertifikate für die Anmeldung oder Wiederverbindung von Benutzern anfordern dürfen. Diese Einstellung ist sicherheitsrelevant und muss mit großer Sorgfalt gewählt werden.

List of VDA desktops and servers that can be logged into by this rule: Liste der VDA-Maschinen, die Benutzer über das FAS-System anmelden dürfen.

List of users that StoreFront can log in using this rule: Liste der Benutzer, denen Zertifikate über den FAS ausgestellt werden dürfen.

Erweiterte Verwendung

Sie können zusätzliche Regeln erstellen, um auf verschiedene Zertifikatvorlagen und Zertifizierungsstellen zu verweisen und für sie unterschiedliche Eigenschaften und Berechtigungen zu konfigurieren. Sie können diese Regeln für die Verwendung durch verschiedene StoreFront-Server konfigurieren. Konfigurieren Sie die StoreFront-Server so, dass die benutzerdefinierte Regel über den Namen angefordert wird. Verwenden Sie dazu die Konfigurationsoptionen für die Gruppenrichtlinien.

Standardmäßig fordert StoreFront-Anforderungen bei der Kontaktaufnahme mit dem Verbundauthentifizierungsdienst default an. Dies kann über die Optionen zur Konfiguration der Gruppenrichtlinie geändert werden.

Zum Erstellen einer Zertifikatvorlage kopieren Sie die Vorlage “Citrix_SmartcardLogon” in der Microsoft-Zertifizierungsstellenkonsole, benennen Sie sie um (z. B. in “Citrix_SmartcardLogon2”) und bearbeiten Sie sie nach Bedarf. Erstellen Sie eine Benutzerregel, indem Sie auf Add klicken, um auf die neue Zertifikatvorlage zu verweisen.

Überlegungen zu Upgrades

• Alle Servereinstellungen des Verbundauthentifizierungsdiensts bleiben erhalten, wenn Sie ein direktes Upgrade durchführen.
• Führen Sie zum Upgrade des Verbundauthentifizierungsdiensts das Installationsprogramm für XenApp und XenDesktop aus.
• Führen Sie vor dem Upgrade des Verbundauthentifizierungsdiensts von 7.15 LTSR auf 7.15 LTSR CU2 (bzw. ein aktuelleres unterstütztes CU) ein Upgrade des Controllers und der VDAs (sowie anderer Kernkomponenten) auf die erforderliche Version durch.
• Vergewissern Sie sich, dass die Konsole des Verbundauthentifizierungsdiensts geschlossen ist, bevor Sie den Dienst aktualisieren.
• Stellen Sie sicher, dass immer mindestens ein Verbundauthentifizierungsdienst-Server verfügbar ist. Wenn kein Server mit einem für den Verbundauthentifizierungsdienst aktivierten StoreFront-Server erreichbar ist, können die Benutzer sich nicht anmelden und keine Anwendungen starten.

Sicherheitsüberlegungen

Der Verbundauthentifizierungsdienst hat ein Registrierungsstellenzertifikat, mit dem er autonom Zertifikate für die Domänenbenutzer ausstellen kann. Es ist daher wichtig, eine Sicherheitsrichtlinie zum Schutz des FAS-Servers zu entwickeln und zu implementieren und die zugehörigen Berechtigungen einzuschränken.

Delegierte Registrierungsagents

FAS stellt Benutzerzertifikate als Registrierungsagent aus. Die Microsoft-Zertifizierungsstelle steuert die Vorlagen, die der FAS-Server verwenden kann. Sie bestimmt auch die Benutzer, für die der FAS-Server Zertifikate ausstellen kann.

Citrix empfiehlt dringend, diese Optionen zu konfigurieren, damit der Verbundauthentifizierungsdienst nur den beabsichtigten Benutzern Zertifikate ausstellen kann. Es empfiehlt sich beispielsweise, eine Ausstellung von Zertifikaten durch den Verbundauthentifizierungsdienst für Benutzer in der Verwaltungsgruppe oder der Gruppe der geschützten Benutzer zu unterbinden.

Zugriffssteuerungsliste konfigurieren

Wie unter Benutzerrollen konfigurieren beschrieben, müssen Sie eine Liste von StoreFront-Servern konfigurieren, die als vertrauenswürdig gelten und bei der Ausstellung von Zertifikaten dem Verbundauthentifizierungsdienst Benutzeridentitäts-Assertions erstellen dürfen. Sie können außerdem festlegen, welchen Benutzern Zertifikate ausgestellt werden dürfen und bei welchen VDA-Maschinen sie sich authentifizieren können. Dieser Schritt versteht sich zusätzlich zu den von Ihnen konfigurierten Active Directory- bzw. Zertifizierungsstellen-Standardsicherheitsfeatures.

Firewalleinstellungen

Für die gesamte Kommunikation mit FAS-Servern werden gegenseitig authentifizierte Kerberos-Netzwerkverbindungen gemäß Windows Communication Foundation über Port 80 verwendet.

Ereignisprotokollüberwachung

Der Verbundauthentifizierungsdienst und der VDA schreiben Informationen in das Windows-Ereignisprotokoll. Dieses Protokoll kann zur Überwachung und Überprüfung verwendet werden. Der Abschnitt Ereignisprotokolle enthält eine Liste möglicher Ereignisprotokolleinträge.

Hardwaresicherheitsmodule

Alle privaten Schlüssel, einschließlich der Schlüssel der vom Verbundauthentifizierungsdienst ausgestellten Benutzerzertifikate, werden als nicht exportierbare private Schlüssel vom Netzwerkdienstkonto gespeichert. Der Verbundauthentifizierungsdienst unterstützt die Verwendung eines kryptographischen Hardwaresicherheitsmoduls, sollte eine Sicherheitsrichtlinie dies erfordern.

Eine detaillierte Kryptographiekonfiguration ist über die Datei FederatedAuthenticationService.exe.config verfügbar. Diese Einstellungen gelten für die Ersterstellung privater Schlüssel. Daher können verschiedene Einstellungen für private Registrierungsstellenschlüssel (z. B. 4096 Bit, TPM-geschützt) und Laufzeit-Benutzerzertifikate verwendet werden.

PowerShell SDK

Die Verwaltungskonsole des Verbundauthentifizierungsdiensts eignet sich für einfache Bereitstellungen, während die PowerShell erweiterte Optionen bietet. Wenn Sie mit Optionen arbeiten, die in der Konsole nicht verfügbar sind, empfiehlt Citrix, ausschließlich PowerShell für die Konfiguration zu verwenden.

Mit dem folgenden Befehl werden die PowerShell-Cmdlets hinzugefügt:

Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1

Verwenden Sie Get-Help <cmdlet name>, um die Cmdlet-Hilfe anzuzeigen. Die folgende Tabelle enthält einige Befehle, wobei * für das standardmäßige PowerShell-Verb (New, Get, Set, Remove usw.) steht.

PowerShell-Cmdlets können remote unter Angabe der Adresse eines FAS-Servers verwendet werden.

Sie können auch eine ZIP-Datei mit allen Cmdlet-Hilfedateien des PowerShell SDKs für FAS herunterladen. Weitere Informationen finden Sie im Artikel zum PowerShell SDK.

Leistungsindikatoren

Der Verbundauthentifizierungsdienst enthält eine Reihe von Leistungsindikatoren zur Lastnachverfolgung.

In der folgenden Tabelle werden die Leistungsindikatoren aufgelistet. Die meisten Leistungsindikatoren sind gleitende Mittelwerte über fünf Minuten.

Ereignisprotokolle

Die folgenden Tabellen enthalten die vom Verbundauthentifizierungsdienst generierten Ereignisprotokolleinträge.

Verwaltungsereignisse

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

FAS protokolliert diese Ereignisse als Reaktion auf die Konfigurationsänderungen auf dem FAS-Server.

Erstellen von Identitätsassertions [Verbundauthentifizierungsdienst]

Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn von einem vertrauenswürdigen Server eine Assertion für eine Benutzeranmeldung erstellt wird.

Bei Agieren als vertrauende Seite [Verbundauthentifizierungsdienst]

Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn von einem VDA ein Benutzer angemeldet wird.

Server für sitzungsinterne Zertifikate [Verbundauthentifizierungsdienst]

Diese Ereignisse werden auf dem FAS-Server protokolliert, wenn ein Benutzer ein sitzungsinternes Zertifikat verwendet.

Anmeldung [VDA]

[Ereignisquelle: Citrix.Authentication.IdentityAssertion]

Diese Ereignisse werden bei der Anmeldung auf dem VDA protokolliert.

Sitzungsinterne Zertifikate [VDA]

Diese Ereignisse werden auf dem VDA protokolliert, wenn ein Benutzer versucht, ein sitzungsinternes Zertifikat zu verwenden.

Zertifikatanforderung und Generierungscodes [Verbundauthentifizierungsdienst]

[Event Source: Citrix.TrustFabric]

Diese Detailereignisse werden protokolliert, wenn der FAS-Server kryptographische Vorgänge auf Protokollebene durchführt.

Verwandte Informationen

• Der Artikel Übersicht über die Architekturen des Verbundauthentifizierungsdiensts enthält eine Übersicht über die gebräuchlichen FAS-Architekturen.
• Der Artikel Anleitung: Konfigurieren und Verwalten des Verbundauthentifizierungsdiensts enthält Links zu weiteren Anleitungen.